聯網防線

總編輯開場｜這週最大的漏洞出在網站程式語言PHP，受影響名單卻一路延伸到工控系統、NAS和閘道器。設備的網頁管理介面背後多半跑著通用軟體，通用軟體出事，設備就跟著出事。

PHP2Shell漏洞延燒工控：西門子、施耐德、ABB、Belden證實部分產品受影響

PHP2Shell指的是PHP引擎的兩個重大漏洞CVE-2026-109618和CVE-2026-109619，攻擊者不需登入就能遠端執行程式碼；PHP在10月21日釋出8.5.12、8.4.27、8.3.36和8.2.35修補。SecurityWeek 10月26日整理工控大廠的公告：施耐德電機有EcoStruxure Security Expert（修補版1.48.4.0）、ProLeiT LINEoptimize和EcoStruxure Control Engineering三項產品受影響，最後一項目前只能靠緩解措施；西門子證實執行PAN-OS 10.2、11.1、11.2、12.1、12.2的Ruggedcom APE1808受影響；ABB含DokuWiki說明頁的MES要更新伺服器上的PHP，子公司B&R的APROL製程控制系統R 4.4-65以前版本受影響。Belden旗下NetModule NRSW所有版本都受影響、還沒有修補版，建議先關閉網頁介面；Johnson Controls已修補Flex4、Pro4等多條Illustra產品線，HMS已更新Netbiter韌體。Rockwell還沒確認有產品受影響，日立能源仍在調查，台灣的Moxa則判定沒有產品受影響。攻擊面也在擴大：第一次攻擊嘗試在修補釋出前的10月17日就出現，Cloudflare已觀察到數百萬次嘗試；據The Hacker News報導，Sophos觀察到有人嘗試利用漏洞把主機拉進Mirai變種殭屍網路Potassium（當時未成功），美國CISA也在10月26日把兩個漏洞列入已遭利用漏洞（KEV）清單。

為什麼重要｜很多工控與聯網設備的網頁管理介面、說明頁或授權伺服器底下都跑著PHP，這類元件平常不在OT資產清單上，漏洞一出就得逐台查。手上有上述品牌設備的工廠，先對照原廠公告確認版本；暫時無法更新的，至少把網頁介面從網際網路和辦公網路隔開。

來源：SecurityWeek｜10/26補充參考：Mirai變種Potassium（The Hacker News）、CISA列入KEV（The Hacker News）

群暉、威聯通NAS也在PHP2Shell射程內：QTS與QuTS hero已修補，部分App仍待修

威聯通（QNAP）10月22日發表聲明，表示資安事件應變小組（PSIRT）已觀察到針對PHP2Shell的掃描和攻擊嘗試，並擋下對官網、線上商店和雲端服務的攻擊，沒有發現用戶資料外洩。威聯通在社群公告說多項產品受影響，10月24日更新：QTS 5.2.11、QuTS hero h6.0.2與h5.2.11、QuTScloud c5.2.9等版本已釋出修補（build 20261023），QTS 6.1與QuTS hero h6.1為Public Beta；Note Station 3和ARM32機種上的QVR Surveillance等App還在修。修補前建議關閉路由器的通訊埠轉送和UPnP，遠端存取改用VPN。群暉（Synology）同日聲明，受影響的是依賴PHP的套件，包括Calendar、MailStation、Web Station、WordPress、phpMyAdmin等，DSM 7.4、7.3和已停止支援的7.2都已提供PHP更新，要從套件中心更新；更早的DSM版本建議先停用相關套件。國內整體曝險方面，據iThome報導，數發部資安署初步盤點國內約2.8萬個對外網站以PHP開發，其中約200個政府機關網站使用相關版本；iThome也引述Shadowserver統計，以IP計，台灣有1.3萬個已停止支援的8.1版以前舊版PHP暴露在網路上。

為什麼重要｜NAS常被當成「放在機房的檔案櫃」，但它其實是一台開著網頁服務、常被直接開到網路上的伺服器。中小企業和工廠裡的NAS與監控錄影主機，往往沒有專人追修補；這次威聯通在修補前的建議就是關掉通訊埠轉送和UPnP、遠端改走VPN，也就是別把NAS直接開到網際網路，值得照做。

來源：威聯通聲明｜10/22補充參考：威聯通修補進度（QNAP社群）、群暉聲明（Synology）、國內2.8萬網站（iThome）、台灣1.3萬舊版PHP（iThome）

安勤與義大利Exein合作導入韌體漏洞分析，替歐盟CRA預作準備

工業電腦廠安勤10月20日宣布與義大利物聯網資安業者Exein合作，把Exein Analyzer導入產品資安與生命週期管理流程。Exein Analyzer可以分析韌體二進位檔或軟體物料清單（SBOM），找出軟體元件、版本和已知漏洞。安勤表示，會把掃描結果和實際系統架構交叉比對，判斷漏洞是否真的影響產品，而不只是交出一份CVE清單；確認受影響的漏洞，再協調BSP、作業系統和供應商資源修補或緩解。在適用平台上也可整合Exein的執行階段（runtime）防護，產品部署後持續支援漏洞監控、版本管理和安全公告。應用產業涵蓋醫療、製造、交通、能源和零售。

為什麼重要｜歐盟《資安韌性法》（CRA）要求製造商在產品上市後持續管理漏洞、備妥技術文件。對工業電腦與嵌入式板卡廠，難處在於一份SBOM往往列出大量元件，掃出來的CVE未必都真的可被利用；能不能把清單收斂成「哪些要修、哪些可說明不受影響」，會是接下來客戶選供應商的條件之一。

來源：鉅亨網｜10/20補充參考：合作細節（聯合新聞網）

烏克蘭CERT-UA示警：大華攝影機遭入侵，雲端遠端存取序號可被猜中

烏克蘭電腦緊急應變小組CERT-UA上週發出警告，發現駭客入侵大華（Dahua）的聯網攝影機和錄影機，修改設定並建立未經授權的帳號。攻擊者疑似利用Easy4IP功能：這項功能讓用戶透過原廠雲端遠端連線，靠的是裝置序號，即使設備在防火牆後面也連得到；但序號有規律可循，攻擊者能大量猜出開了雲端功能的設備，再用弱密碼、預設密碼或舊韌體的驗證繞過漏洞（CVE-2021-33044、CVE-2021-33045）登入。CERT-UA沒有說明受害數量和攻擊者身分。資安公司Hunt.io今年8月曾報告，夏季有逾1.45萬台大華設備遭入侵，主要在烏克蘭和俄羅斯；Hunt.io說，惡意帳號和復原碼在改密碼後仍會留著，多數韌體版本連恢復原廠設定都清不掉，只刪帳號不更新韌體不夠。

為什麼重要｜這個案例的入口不是設備本身開了通訊埠，而是原廠雲端的「穿透」功能。很多攝影機、NVR和智慧家電都靠類似的P2P或雲端中繼服務讓用戶免設定連線；如果識別碼可以被猜，防火牆就形同虛設。用不到雲端遠端存取的設備，最好直接關掉這項功能。

來源：The Record｜10/26

法國超市冰櫃事件後，Forescout在99國找到6,017個IP的冷藏控制系統裸露網路

上期頭條的超市冰櫃遭駭事件有了全球版調查。Forescout旗下Vedere Labs 10月22日發表研究，用Shodan查詢10類冷藏監控產品，找到12,976筆對外服務，分布在99個國家和地區的6,017個公開IP；其中Copeland/Dixell XWEB有7,075筆、Danfoss StoreView有4,697筆、Copeland Site Supervisor有551筆、Carel pCOWeb有513筆。513筆pCOWeb服務中只有287筆回應需要驗證；Danfoss AK-SM 800A的StoreView服務有3,762筆（約八成）執行早於4.3.1的韌體，受CVE-2025-41451和CVE-2025-41452影響，而法國事件中遭攻擊的AK-SM 800早在2021年5月就停止支援。Forescout說，今年1月以來追蹤到超過20起駭客行動主義團體宣稱攻擊冷藏系統，最活躍的是親俄的Z-Pentest Alliance和NoName057(16)。研究也指出，部分原廠安裝文件本來就教人設定通訊埠轉送、從網際網路遠端維護。

為什麼重要｜冷藏系統常由冷凍空調承包商遠端維護，設備歸總務、網路歸IT、帳號在廠商手上，出事時沒人說得清誰該負責。醫療、農業等仰賴冷藏的產業都用同類設備，該盤點的不只是設備有沒有裸露，還有哪些承包商帳號能改溫度設定、改了有沒有紀錄。

來源：Forescout｜10/22

VeloCloud SD-WAN控制台零時差漏洞遭利用：最低權限帳號就能升成最高權限

Arista 10月22日發布公告，自建（on-prem）的VeloCloud Orchestrator（VCO）有SQL注入漏洞CVE-2026-114625，CVSS 3.1評分9.9，已遭實際利用。任何已登入的用戶，包括最低階的Enterprise Read Only角色，都能取得營運者權限、冒充本機的superuser，還可能影響VCO主機本身。修補版本是VCO 5.2.3.18、6.1.3.10和6.4.2.12，原廠代管版本已修好；VeloCloud Gateway和Edge設備不受影響。Arista公布兩個攻擊來源IP，建議封鎖並回查紀錄，懷疑遭入侵時先保留各類日誌再修補。The Hacker News指出，這是7月底以來Arista通報VCO第三個遭利用的漏洞，也是三個裡第一個需要登入的。

為什麼重要｜SD-WAN控制台管的是企業所有分點的網路設定，連鎖門市、工廠分點常靠它把遠端站台接回總部。一個唯讀帳號就能升權，代表外包廠商、分點人員這些「看看就好」的帳號都得重新盤點；三個月內出現三個已遭利用的漏洞，也該檢討控制台是否需要開放在網際網路上。

來源：Arista｜10/22補充參考：第三個遭利用的漏洞（The Hacker News）

初始存取掮客k0t大規模入侵防火牆與VPN，外洩逾7萬筆憑證，亞太受害者占近四成

Group-IB與NyxLab聯合調查揭露，代號k0t的攻擊者用FOFA、ZoomEye等網路空間搜尋引擎大量列出曝露在外的VPN與防火牆，鎖定Fortinet FortiGate、Palo Alto Networks GlobalProtect等邊界設備，利用CVE-2025-64446（FortiWeb路徑穿越）、CVE-2026-0257（PAN-OS與Prisma Access驗證繞過）等已知漏洞或暴力破解取得存取權，再裝上MeshCentral、Atera等合法遠端管理工具長駐，用Rclone把資料傳到雲端。和這波活動相關、外洩的網路設備憑證與LDAP資料超過7萬筆。受害者中近38%在亞太，其次是拉丁美洲31.9%、歐洲15.8%。研究人員認為k0t可能是初始存取掮客或勒索軟體Qilin、The Gentlemen的合作者，許多受害者後來出現在這兩個集團的洩密網站上。

為什麼重要｜研究人員的結論是：k0t挑目標看的是「設備型號和地點」，不是你屬於哪個產業。這代表只要邊界設備有已知漏洞沒修，就會被自動化掃描撿走；亞太受害比例最高，台灣企業尤其該確認防火牆、VPN的修補狀態，並檢查有沒有不明的遠端管理工具出現。

來源：The Hacker News｜10/23

美國海岸防衛隊發布海事資安指引NVIC 02-26，2027年7月16日前要交資安計畫

美國海岸防衛隊10月20日發布航行與船舶檢查通告NVIC 02-26，協助受《海事運輸安全法》（MTSA）規範的船舶、港口設施和外大陸棚設施落實33 CFR Part 101 Subpart F的資安規定。業者要指派資安長（CySO）、完成資安評估並撰寫資安計畫，最晚在2027年7月16日前提交。指引附四份文件：計畫撰寫說明、資安長指派函範本、滲透測試指引，以及以NIST資安框架為基礎、可自選採用的範圍界定與「風險篩選」方法，用來找出關鍵IT/OT系統和相互依賴關係。滲透測試要在每五年換證週期中執行，並考量OT的安全，但第一次提交計畫時不必做。海岸防衛隊也提醒，法規並沒有要求一定要委外做評估或寫計畫。

為什麼重要｜港口起重機、閘門、船上的推進與導航系統都是OT，美國這套規定把OT明確納入評估範圍。台灣的船舶、港埠設備與系統商若有美國客戶，對方接下來會要求設備的資產清單、遠端維護方式和弱點處理流程，及早準備文件比較從容。

來源：美國海岸防衛隊｜10/20補充參考：指引四份附件（Industrial Cyber）

英國擬重罰破壞海底電纜者最高關14年，電纜業者將背上資安義務

英國政府10月22日公布白皮書，要翻修1885年的《海底電報法》。根據政府說法，海底電纜承載英國約99%的國際數據流量，海底管線供應74%的天然氣，但1885年舊法原本對過失損壞電纜的罰款上限只有100英鎊。新提案規定，故意破壞關鍵海底能源或電信設施最高可判14年徒刑，魯莽或過失造成的損壞也可處無上限罰款；海底電信業者將負有辨識與管理安全風險的法定義務，部長可要求業者和電纜維修商採取行動；利用海底電纜偵測海上活動的光纖感測技術也要納管。電信部長Ian Murray提到俄羅斯在海底設施周邊的可疑活動。不過政府過去估計，最多97%的故障其實是漁船和拖錨造成。提案進入12週的公眾諮詢，尚未成為法律。

為什麼重要｜台灣對外通訊同樣倚賴海底電纜。英國的作法不只加重刑罰，還把風險管理義務壓到電纜業者身上，並把光纖感測這類「電纜當感測器」的新用途一併納管，值得國內修法與業者參考。

來源：The Register｜10/23

OT-ISAC盤點亞太關鍵基礎設施資安法規：哪些已生效、哪些還是草案

OT-ISAC發布亞太OT與關鍵基礎設施資安政策報告（資料截至10月20日），刻意把「已生效」「已通過待施行」「草案」和「非強制指引」分開。已生效的有：日本關鍵基礎設施統一資安標準10月1日上路，重點在管理階層參與、全組織風險管理和供應鏈韌性，但沒有統一的PLC/SCADA技術要求；中國修訂的公安機關網路安全監督檢查辦法同日施行。待施行的有：印度電力業資安法規2027年4月1日起生效；台灣數發部9月16日發布通訊傳播領域關鍵基礎設施提供者控制系統資安防護基準，2027年1月1日生效，技術或架構上做不到的業者可提出替代控制措施經主管機關核准。草案與指引方面：越南公安部的物聯網設備資安基本要求國家標準草案10月24日截止意見；新加坡國會10月7日通過數位基礎設施法案，但施行日未定；澳洲ASD 10月15日推出含OT專章的ASD Essentials，屬非強制指引。日本另有兩項草案徵求意見到10月31日。

為什麼重要｜常見的誤判，是把別國的草案或指引當成已上路的義務，或反過來漏掉已經生效的規定。做亞太市場的台灣工控與物聯網廠，可以拿這份報告當清單，逐國確認客戶真正要遵循的條文；被指定的通傳關鍵基礎設施提供者，則要在明年元旦前完成控制系統基準的落差分析。

來源：Industrial Cyber｜10/26

研究員指三星電視遙測含「狗吠、嬰兒哭聲」計數，沒麥克風會找聲霸借用

一名在X上署名log4j的資安研究員10月23日公開三星智慧電視的逆向分析結果，說他在名為「EV201/SOUNDSENSOR_ON」的事件紀錄下，看到與狗吠和嬰兒哭聲相關的事件計數，還有攝影機串流時間、環境光感測器等欄位，以鍵值形式回傳到三星伺服器。他也說，沒有內建麥克風的機型會先掃描周邊有沒有可用的麥克風裝置，例如聲霸或藍牙喇叭，再決定是否啟用相關功能。科技新報指出，三星在2025年Vision AI電視推出的Pet Care和Family Care服務，本來就主打用麥克風和裝置端AI偵測狗吠、嬰兒哭聲，爭議點在於是否清楚告知這些事件資料會回傳。這些發現尚未經第三方獨立驗證，三星也還沒回應。

為什麼重要｜不管最後證實與否，這個案例點出一個設計問題：當裝置可以「借用」別台裝置的感測器，隱私告知和權限控管就不能只看單一產品。做智慧家電、穿戴和車用設備的廠商，在跨裝置串接功能時，最好把資料流向寫清楚，免得一個好用的功能變成監聽疑雲。

來源：科技新報｜10/27

Kiloview E3 NDI影音編碼器9個漏洞：寫死帳密、免驗證、命令注入，請更新到V1.30

美國CISA 10月22日發布公告，總部在中國的Kiloview旗下E3 NDI編碼器，早於1.30的韌體有9個CVE，漏洞類型包括作業系統命令注入、關鍵功能缺少驗證、工作階段逾時設定不當、路徑穿越、空指標參照和寫死的帳密，成功利用可完全控制設備。原廠建議更新到V1.30。漏洞由研究員Juan Alonso通報，CISA表示目前沒有已知的公開利用。

為什麼重要｜NDI編碼器負責把影像訊號轉成IP網路影音串流，CISA把它歸在通訊與資訊科技領域。這類設備常由影音團隊而非IT管理，容易漏在資產清單之外。這類設備一旦被控制，就成了內網裡的跳板；盤點時別漏掉這些「看起來只是影音器材」的聯網設備。

來源：CISA｜10/22

• PEAK-System PCAN的Windows CAN驅動有6個漏洞：CISA公告HMS Networks旗下PCAN驅動5.1.2以前版本有緩衝區溢位、越界寫入等問題，可導致Windows核心當機；無法遠端利用，修補版本為5.1.4。CISA列出的使用領域包括交通、醫療、能源和關鍵製造。 （CISA｜10/20）
• DNSSEC抗量子化進度加快：ICANN技術長John Crain表示，量子電腦可能在2030年前後具備威脅，DNS的抗量子準備時間可能不到十年；改用更長的金鑰會讓DNS回應變大，可能得從UDP改走TCP，這項轉換還要好幾年。 （The Register｜10/26）
• 印度憑證機構eMudhra退出全球SSL/TLS業務：研究員發現其8張中繼CA憑證的私鑰都小於256，幾乎瞬間可算出；Chrome與Firefox決定停止信任相關ECC根憑證，約3萬張憑證要換發。用固定憑證鏈或內建根憑證清單的嵌入式設備，記得跟著更新。 （The Hacker News｜10/22）
• 北美電網低衝擊系統的廠商遠端存取要留證據：NERC CIP-003-9今年4月1日生效，要求能辨識、停用廠商的遠端連線，並偵測相關的惡意通訊；Centrii提醒，紀錄要保存3年，但低衝擊類要求的稽核期間可長達6年，換了維運商時舊紀錄不一定會留下。 （Industrial Cyber｜10/26）